通过RAM角色授权模式配置数据源

• 待扮演角色：您需要创建自定义角色供DataWorks服务账号扮演。扮演后，DataWorks服务账号即可在角色具备的权限范围内，访问OSS数据源。
• 待授权策略：您需要创建包含 PassRole相关权限点的策略，用于授权某个使用者使用某个角色创建数据源或运行同步任务的权限。

在初次选择RAM角色授权模式时，需要执行一次性开启RAM角色授权，以便允许DataWorks服务账号以角色扮演的方式访问数据源。一次性开启RAM角色授权的操作如下：

根据实际的安全场景，您需要自定义不同的角色，以匹配不同的数据源。

本文以下述场景为例，为您介绍如何创建待扮演角色。

某企业有100个Bucket，存放该企业的所有数据，但大数据团队只需要使用其中2个Bucket的数据。如果使用预设的 AliyunDataWorksAccessingOSSRole角色，可能导致其它98个Bucket被大数据团队访问，存在管理风险。

因此，云账号负责人可以为大数据团队创建自定义角色 BigDataOssRole，并限制可以使用角色的人员为大数据团队的相关人鱼，实现团队间的权限管控。

确认所有待扮演角色后，您需要将包含PassRole权限点的Policy授权给相关人员，相关人员才可以通过该角色创建数据源和执行同步任务。同时，您可以根据实际场景要求配置人员和角色的对应关系，即配置哪些人员可以使用哪些角色。

• 策略模板一：您可以参照如下模板创建策略，该模板允许被授权者使用所有与DataWorks数据集成相关的角色，请谨慎授权。

  {
              "Action": "ram:PassRole",
              "Resource": "*",
              "Effect": "Allow",
              "Condition": {
                  "StringEquals": {
                      "acs:Service": "di.dataworks.aliyuncs.com"
                  }
              }
  }

• 策略模板二：您可以根据实际的安全场景需求，自定义包含PassRole权限点的Policy，配置人员和角色的对应关系。
  说明 仅阿里云主账号和被授予AliyunRAMFullAccess权限的RAM用户可以操作本步骤。

  场景示例：如上文待扮演角色的场景示例所述，当云账号管理者为大数据团队定义了BigDataOssRole角色后，需要指定仅相关人员才能使用该角色。您可以自定义Policy为BigDataOssRoleAllowUse，并授权给相关人员。

  创建策略的操作如下：

  1. 登录权限策略管理页面，单击创建权限策略。
  2. 在新建自定义权限策略页面，输入策略名称为BigDataOssRoleAllowUse，并选择配置模式为脚本配置，输入如下策略。

     {
         "Version": "1",
         "Statement": [
             {
                 "Action": "ram:PassRole",
                 "Resource": "acs:ram::19122324****:role/BigDataOssRole",
                 "Effect": "Allow",
                 "Condition": {
                     "StringEquals": {
                         "acs:Service": "oss.aliyuncs.com",
                         "acs:Service": "di.dataworks.aliyuncs.com"
                     }
                 }
             }
         ]
     }

     说明 请替换上述策略中的UID（19122324****）为当前登录的阿里云主账号的UID。
     
  3. 管理员授权BigDataOssRoleAllowUse策略给允许使用BigDataOssRole角色的RAM用户。

     被授权BigDataOssRoleAllowUse策略的RAM用户可以通过BigDataOssRole角色来创建数据源（将BigDataOssRole作为数据源的访问身份）、运行同步任务。

当云账号管理者完成对数据源创建者的授权后，即可创建数据源。

创建数据源后，开发人员可以进入DataStudio（数据开发）页面，基于该数据源创建同步任务，详情请参见配置同步任务。

在DataStudio（数据开发）页面执行任务或调度运行任务时，请确保任务执行者在步骤3（授权可以使用角色的人员）中，已被授权，避免任务运行失败。